Seguridad

En breve

• Los archivos de tu bóveda se cifran en tu dispositivo antes de subirse, y no tenemos ninguna clave que los abra.
• Los mensajes directos están cifrados de extremo a extremo. Los servidores guardan texto cifrado.
• Los archivos de la bóveda ya son texto cifrado cuando llegan al almacenamiento. El proveedor de almacenamiento también documenta el cifrado en reposo de sus objetos.
• Las direcciones IP y los registros del servicio se guardan por seguridad y para prevenir abusos. El sitio no instala cookies ni usa analítica.
• Si encuentras un problema de seguridad, escríbenos. Las reglas para informar y el archivo security.txt están más abajo en esta página.

Tu bóveda de documentos

Los archivos de tu bóveda se cifran en tu dispositivo antes de subirse. Las claves se quedan contigo. Según lo que configures, se guardan en tu dispositivo o en tu propio llavero de iCloud o Google Block Store, o se abren con la frase de contraseña de tu bóveda, tu clave de recuperación o un passkey. Nosotros no tenemos ninguna clave que abra tus archivos.

Podemos ver la cuenta que rodea la bóveda: cuántos archivos guardas, sus tamaños cifrados y cuándo los subiste. No podemos ver qué contienen los archivos ni cómo se llaman.

Si pierdes todas las formas de abrir la bóveda, nadie, ni siquiera nosotros, puede abrir tus archivos.

Todavía no se ha hecho una revisión criptográfica independiente de la bóveda.

Mensajes

Los mensajes directos están cifrados de extremo a extremo. Nuestros servidores guardan cada mensaje como texto cifrado, junto con las mitades públicas de las claves de mensajes de los miembros. Las mitades privadas se quedan en tu dispositivo.

Hay dos límites. Conservamos quién escribió a quién y cuándo. Un moderador lee un mensaje solo después de que uno de los dos miembros lo reporte; el dispositivo del miembro que reporta envía entonces ese mensaje, junto con los mensajes anteriores (hasta diez) que ese miembro haya elegido incluir.

Todavía no se ha hecho una revisión independiente del cifrado de los mensajes.

Qué conservamos y qué no

Lo que conservamos

• Los datos de tu cuenta: correo electrónico, nombre de usuario y nombre.
• Lo que eliges publicar: publicaciones, respuestas y los campos de perfil que muestras.
• Los archivos de tu bóveda y tus mensajes directos, guardados cifrados.
• Las mitades públicas de tus claves de mensajes.
• Quién escribió a quién y cuándo.
• Direcciones IP y registros del servicio, para la seguridad y para prevenir abusos.

Lo que no conservamos ni pedimos

• El contenido y los nombres de los archivos de tu bóveda en forma legible.
• La frase de contraseña de tu bóveda, tu clave de recuperación y las mitades privadas de tus claves de mensajes.
• Mensajes directos legibles, salvo un mensaje que un miembro reporta.
• Un estado de visa o un resultado de solicitud como campo de perfil.
• Rastreadores publicitarios. El sitio web no usa cookies ni ejecuta analítica ni píxeles de publicidad, y ningún dato se vende ni se usa para publicidad.

El aviso de privacidad enumera cada tipo de dato, el motivo por el que se conserva y durante cuánto tiempo.

Protección contra bots y abusos

El registro, el inicio de sesión y el restablecimiento de contraseña pueden pedir una verificación de Cloudflare Turnstile. Ocurre cuando un cliente falla repetidamente, cuando su tráfico parece automatizado o cuando los inicios de sesión fallidos aumentan de golpe en todo el servicio. Nuestro servidor confirma el resultado con Cloudflare, que recibe el token de la verificación y la dirección del cliente. Si no se puede contactar con Cloudflare, la solicitud sigue adelante bajo los demás límites.

Las solicitudes se limitan por cliente. El inicio de sesión, las páginas públicas, la búsqueda y otras rutas con mucho tráfico tienen cada una su propio límite en nuestro servidor, y las páginas públicas de perfiles y artículos tienen además uno en el borde de la red.

A un cliente que busca puntos débiles conocidos o envía tráfico que parece un ataque se le pide primero que demuestre que es una persona, luego se le ralentiza y, si continúa, se le rechaza durante un tiempo. Para esto solo se registran las solicitudes que activan una de estas señales.

Cuando defines una contraseña al registrarte, al cambiarla o al restablecerla, nuestro servidor la comprueba contra la lista de contraseñas conocidas por filtraciones de datos de Have I Been Pwned. Solo se envían los primeros cinco caracteres de un código irreversible (un hash SHA-1) de la contraseña. La contraseña y el código completo nunca salen de nuestro servidor, y la solicitud no lleva correo electrónico ni datos de la cuenta. Una contraseña que aparece en una filtración se rechaza. Si no se puede acceder a la lista, la contraseña se acepta bajo las reglas habituales.

Estas medidas limitan el abuso. No detienen a todos los clientes automatizados.

Reportar un problema de seguridad

Qué cubre

Talent Visa Journey gestiona el sitio web público en talentvisajourney.com, la app para miembros y el servidor que está detrás de ambos, incluidos sus subdominios como app., api. y my.talentvisajourney.com.

La bóveda de documentos, las funciones para compartir y el inicio de sesión están dentro del alcance y son las áreas sobre las que más queremos saber.

Cómo reportar

Envía una breve descripción del problema, los pasos para reproducirlo y la dirección o pantalla afectada a: hello@talentvisajourney.com

El mismo contacto se publica en un archivo estándar legible por máquina en /.well-known/security.txt

Escribe en inglés o turco. Leemos cada informe que llega a esa dirección.

Qué te pedimos

• Prueba solo tus propias cuentas y tus propios datos. No abras, cambies ni borres los documentos, el perfil o los mensajes de otra persona.
• No degrades el servicio para los demás: nada de pruebas de denegación de servicio, escaneos masivos ni spam.
• No uses ingeniería social contra el operador ni contra los miembros.
• Danos un plazo razonable para corregir un problema antes de publicarlo.

Independencia

Talent Visa Journey es una comunidad independiente. No está afiliada a GOV.UK, al Home Office, a USCIS ni a ningún gobierno.

Dónde están tus datos y quién los gestiona

Los servidores y la base de datos de la app para miembros funcionan en Railway, en la región EU West (Ámsterdam, Países Bajos). Los archivos cifrados de la bóveda, las copias diarias de la base de datos y los registros de eliminación se guardan en Cloudflare, en almacenamiento de la jurisdicción de la UE. Cloudflare también entrega este sitio web y transmite el tráfico entre la app y el servidor.

El operador está en Türkiye y todos los proveedores son empresas de Estados Unidos, así que tus datos se transfieren al extranjero y un proveedor aún puede acceder a ellos desde Estados Unidos. Ninguno puede leer los archivos de tu bóveda almacenados.

La página de proveedores de servicios enumera cada proveedor, qué recibe y dónde. El aviso de privacidad explica con qué base se transfieren los datos y cuánto tiempo se conservan.